Verwerkersovereenkomst SmaakLink

Versie 2026-10 · gepubliceerd op 18-10-2026, geldt voor bestaande zaken vanaf 17-11-2026 (voor nieuwe zaken vanaf hun aanmelding) · Deze verwerkersovereenkomst maakt integraal deel uit van de algemene voorwaarden van SmaakLink. Door akkoord te gaan met de voorwaarden en deze overeenkomst — bij de aanmelding of in het beheer — aanvaardt de zaak ze. Ze wordt schriftelijk vastgelegd in elektronische vorm (art. 28(9) AVG): elk akkoord wordt met versie, tijdstip en een vingerafdruk (sha256) van de aanvaarde tekst bewaard, en elke gepubliceerde versie wordt met haar volledige tekst gearchiveerd. De vingerafdruk dekt de volledige tekst van deze overeenkomst met haar bijlagen, zonder deze inleidende regel met "gepubliceerd op … / geldt vanaf …" (die datums staan apart bij de versie in het archief).

1. Partijen

Verwerkingsverantwoordelijke: de onderneming die SmaakLink gebruikt en zich daarvoor registreerde ("de zaak"). De zaak bepaalt waarvoor en hoe de persoonsgegevens van haar klanten en gasten verwerkt worden.

Verwerker: Website-Hosting V.O.F. (adres Conterdreef 1, BE-8920 Poelkapelle, ondernemingsnummer 0690.730.664, btw-nummer BE0690730664), e-mail [email protected], handelend onder de naam SmaakLink ("de verwerker").

Bij strijdigheid gaat deze overeenkomst voor op de algemene voorwaarden voor alles wat de bescherming van persoonsgegevens betreft.

2. Onderwerp

De verwerker verwerkt persoonsgegevens voor rekening van de zaak om het SmaakLink-platform te leveren: online bestellen (afhalen, levering, ter plaatse), reserveren en de wachtlijst, het spaarprogramma, beoordelingen, het klantenbeheer (CRM) en de bijbehorende e-mails, keukenbonnen, tabletmeldingen en rapporten. Bijlage A beschrijft de verwerkingen per module.

3. Duur

De verwerking duurt zolang de zaak SmaakLink gebruikt (de looptijd van de overeenkomst) en daarna tot de gegevens volgens artikel 14 gewist of teruggegeven zijn. Binnen die periode gelden de bewaartermijnen van bijlage B.

4. Aard en doel van de verwerking

Aard: verzamelen via de bestel- en reserveerpagina's, opslaan, ordenen, raadplegen, tonen aan de zaak (beheer, tablet, keukenbon), doorgeven aan de subverwerkers van bijlage C, versturen van transactionele e-mails, anonimiseren en wissen.

Doel: uitsluitend het leveren van de diensten aan de zaak: bestellingen en reserveringen ontvangen en afhandelen, klanten op de hoogte houden, het spaarprogramma en de beoordelingen beheren, misbruik voorkomen en de zaak inzicht geven in haar eigen klanten en omzet. De verwerker gebruikt de gegevens nooit voor eigen doeleinden: geen verkoop, geen profilering, geen reclame en geen koppeling met gegevens van andere zaken.

5. Soorten persoonsgegevens

• identificatie- en contactgegevens: naam, e-mailadres, telefoonnummer;
• bezorgadres en de bijbehorende coördinaten;
• bestelgegevens: gerechten, opmerkingen en instructies, tijdstip, bedragen, betaalwijze en -status (geen kaart- of rekeninggegevens);
• reserveringsgegevens: datum, uur, aantal personen, opmerking, aanbetaling;
• allergie-informatie die de klant zelf invult of filtert — dat kan een gezondheidsgegeven zijn (art. 9 AVG); de zaak gebruikt het uitsluitend om veilig te bereiden;
• spaarprogramma: punten, verzilveringen, toestemming voor gepersonaliseerde aanbiedingen;
• beoordelingen: score, tekst, weergavenaam, reactie van de zaak;
• toestemmingen (bv. nieuwsbrief) met tijdstip, tekstversie, IP-adres en browser als bewijs;
• technische gegevens bij misbruikpreventie (IP-adres in tellers en blokkeerlijsten) en verzendgegevens van e-mails.

6. Categorieën van betrokkenen

• klanten die bij de zaak bestellen (ook gasten zonder account);
• gasten die reserveren of zich op de wachtlijst zetten;
• deelnemers aan het spaarprogramma van de zaak;
• klanten die een beoordeling schrijven of een uitnodiging daartoe krijgen;
• personen in het klantenbestand dat de zaak importeert (bv. uit GloriaFood).

De accounts van de beheerders en medewerkers van de zaak en de facturatie aan de zaak verwerkt SmaakLink als zelfstandig verwerkingsverantwoordelijke (zie het privacybeleid); daarvoor geldt deze overeenkomst niet.

7. Instructies (art. 28(3)(a))

De verwerker verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de zaak, ook wat doorgiften naar een land buiten de Europese Economische Ruimte betreft. Deze overeenkomst, de voorwaarden en de instellingen die de zaak zelf in het beheer kiest (bv. betaalwijzen, spaarprogramma, beoordelingen, bezorgzones) vormen die instructies. Verplicht een wettelijke bepaling de verwerker tot een andere verwerking, dan meldt hij dat vooraf aan de zaak, tenzij de wet dat verbiedt. Vindt de verwerker dat een instructie de AVG of een andere regel over gegevensbescherming schendt, dan meldt hij dat onmiddellijk aan de zaak.

8. Geheimhouding (art. 28(3)(b))

Iedereen die onder het gezag van de verwerker toegang heeft tot de persoonsgegevens, is door een contract of door de wet tot geheimhouding verplicht en krijgt alleen toegang voor zover dat voor de dienst nodig is. Ondersteuning in het beheer van de zaak ("openen als zaak") gebeurt alleen voor support en wordt gelogd.

9. Beveiliging (art. 28(3)(c) en art. 32)

De verwerker neemt passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat op het risico is afgestemd, rekening houdend met de stand van de techniek. Bijlage B beschrijft de maatregelen zoals ze in het platform zitten; de verwerker houdt ze bij en verbetert ze, zonder het niveau te verlagen.

10. Subverwerkers (art. 28(2) en (4))

De zaak geeft de verwerker een voorafgaande algemene schriftelijke toestemming om de subverwerkers van bijlage C in te schakelen (ook publiek op /subverwerkers).

De verwerker meldt elke voorgenomen toevoeging of vervanging van een subverwerker minstens 30 dagen vooraf per e-mail aan het contactadres van de zaak en op /subverwerkers. De zaak kan binnen die termijn gemotiveerd bezwaar maken; vinden partijen geen oplossing, dan kan de zaak de overeenkomst kosteloos opzeggen tegen de ingangsdatum van de wijziging.

De verwerker legt elke subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst, met voldoende garanties voor passende maatregelen, en blijft tegenover de zaak volledig aansprakelijk voor de nakoming door de subverwerker.

Mollie B.V. is géén subverwerker van SmaakLink voor de betalingen van de klanten: de zaak sluit daarvoor zelf een overeenkomst met Mollie en koppelt haar eigen Mollie-account; SmaakLink geeft enkel de betaalopdracht door (bedrag en omschrijving).

11. Bijstand bij de rechten van betrokkenen (art. 28(3)(e))

De verwerker helpt de zaak met passende technische en organisatorische maatregelen om verzoeken van betrokkenen (inzage, verbetering, wissing, beperking, overdraagbaarheid, bezwaar) te beantwoorden. In het beheer kan de zaak zelf: een klant opzoeken, al zijn gegevens exporteren als JSON-bestand ("Gegevens exporteren"), de nieuwsbrieftoestemming intrekken, de klant blokkeren en hem AVG-wissen (naam, contactgegevens, adressen, opmerkingen en vrije tekst bij bestellingen, e-mails, spaar- en beoordelingsgegevens). Reserveringen worden automatisch gekoppeld op e-mailadres of op telefoonnummer mét overeenkomende naam; een reservering met alleen hetzelfde telefoonnummer wordt getoond als "mogelijk dezelfde persoon" en pas meegenomen als de beheerder dat bevestigt. Een blokkering tegen misbruik blijft na wissing bestaan, maar alleen als gesleutelde hash (pseudonimisering; gerechtvaardigd belang: fraudepreventie); de beheerder kan ze altijd opheffen in de blokkeerlijst. Een reviewer kan zijn beoordeling ook zelf verwijderen en zich afmelden voor uitnodigingen. Een verzoek dat de verwerker rechtstreeks ontvangt, stuurt hij zonder onredelijke vertraging door naar de zaak; hij beantwoordt het niet zelf, tenzij de zaak dat vraagt.

12. Bijstand bij de artikelen 32 tot en met 36 (art. 28(3)(f))

Rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, helpt de verwerker de zaak bij het nakomen van haar verplichtingen inzake beveiliging (art. 32), de melding van inbreuken aan de toezichthouder en aan de betrokkenen (art. 33–34, zie artikel 13), een gegevensbeschermingseffectbeoordeling (art. 35) en een eventuele voorafgaande raadpleging van de toezichthouder (art. 36).

13. Inbreuken in verband met persoonsgegevens (datalekken)

De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging na de ontdekking — waar mogelijk binnen 48 uur — aan het contactadres van de zaak, zodat de zaak zelf binnen 72 uur kan melden. De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het (geschatte) aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Wat nog niet bekend is, volgt zodra het beschikbaar is. De verwerker documenteert elke inbreuk.

14. Einde: wissen of teruggeven (art. 28(3)(g))

Na het einde van de dienstverlening wist de verwerker alle persoonsgegevens van de zaak of bezorgt hij ze terug, naar keuze van de zaak. Daartoe beëindigt de verwerker de zaak in het platform: de bestelpagina en de tablets gaan uit en de beheerder kan nog 30 dagen inloggen om alles te exporteren (klanten, bestellingen, btw-rapport, terugbetalingen, reserveringen en wachtlijst, beoordelingen, spaarprogramma, menu en per klant alle gegevens — elke export wordt in de audittrail vastgelegd). Op verzoek bezorgt de verwerker de gegevens ook zelf terug in een gangbaar formaat (CSV/JSON). Na die 30 dagen wist het platform automatisch alle persoonsgegevens van de zaak (klanten, bestellingen — de fiscale regels blijven geanonimiseerd —, reserveringen, spaarprogramma, beoordelingen, e-mails — ook de e-mails van het platform aan de adressen van de zaak —, printopdrachten en printers, foto's en de accounts van haar gebruikers), inclusief kopieën, tenzij een wettelijke bewaarplicht geldt. Bewust blijven staan: de gegevens van de zaak zelf (naam, adres, ondernemingsnummer en contactgegevens) voor de facturatie (10 jaar, boekhoudwetgeving), het beveiligingslogboek (12 maanden), het bewijs van akkoord met de voorwaarden en deze overeenkomst (versie, tijdstip, ingekort IP-adres — bewijs zolang een geschil mogelijk is) en de tellers tegen misbruik (2 dagen). Back-ups worden niet apart bewerkt maar verlopen met de back-upcyclus. Op verzoek bevestigt de verwerker de wissing schriftelijk.

15. Informatie en audits (art. 28(3)(h))

De verwerker stelt alle informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen: deze overeenkomst met bijlagen, de lijst van subverwerkers en, op verzoek, het relevante deel van het register van verwerkingsactiviteiten. Hij maakt audits, inclusief inspecties, door de zaak of een door haar gemachtigde, tot geheimhouding verplichte controleur mogelijk en draagt eraan bij. Een audit wordt minstens 30 dagen vooraf aangekondigd, gebeurt tijdens de kantooruren zonder de dienst voor andere zaken te verstoren en hoogstens eenmaal per jaar, tenzij na een datalek of op vraag van een toezichthouder. De kosten zijn voor de zaak, tenzij de audit een wezenlijke tekortkoming van de verwerker aantoont.

16. Doorgifte buiten de Europese Economische Ruimte

De persoonsgegevens worden in de EER verwerkt. Een doorgifte naar een land buiten de EER gebeurt alleen met passende waarborgen (adequaatheidsbesluit, waaronder het EU-VS-gegevensprivacykader, of standaardcontractbepalingen) en staat bij de betrokken subverwerker in bijlage C.

17. Aansprakelijkheid

De aansprakelijkheid van partijen volgt artikel 82 AVG en de algemene voorwaarden, voor zover de wet een beperking toelaat.

18. Wijzigingen en toepasselijk recht

Een nieuwe versie van deze overeenkomst wordt gepubliceerd en minstens 30 dagen vóór haar ingangsdatum gemeld; tot die datum blijft de vorige versie gelden en toont het beheer de nieuwe tekst met de mogelijkheid om ze al te aanvaarden, vanaf de ingangsdatum vraagt het beheer het akkoord vóór verder gebruik. Deze overeenkomst is schriftelijk vastgelegd in elektronische vorm en ook zo geldig (art. 28(9) AVG). Op deze overeenkomst is het Belgisch recht van toepassing; geschillen worden voorgelegd aan de rechtbanken die in de algemene voorwaarden aangewezen zijn. Vragen: [email protected].

Bijlage A — Beschrijving van de verwerkingen per module

Bewaartermijnen: zie bijlage B.

Bijlage B — Technische en organisatorische maatregelen

• Versleutelde verbindingen (HTTPS/TLS) voor de bestel-, reserveer- en beheerpagina's en de tablet-app; de beheersessie gebruikt een Secure-, HttpOnly- en SameSite-cookie en het beheer aanvaardt alleen JSON-aanroepen van de eigen site (bescherming tegen cross-site requests).
• Wachtwoorden worden alleen gehasht opgeslagen (bcrypt). De tokens van wachtwoordherstel en activatie, van de tablets, van beoordelings- en spaarlinks en het toegangstoken van het spaarprogramma (willekeurige codes) staan alleen als SHA-256-hash in de databank. De links naar de bestelstatus en van reserveringen (annuleren, aanbod van de wachtlijst) bevatten een lange willekeurige code die wel leesbaar bewaard wordt (de e-mails over die bestelling of reservering hebben ze nodig) en die alleen toegang geeft tot die ene bestelling of reservering. De inhoud van verzonden e-mails wordt meteen na verzending gewist.
• Pseudonimisering: de blokkeerlijst tegen misbruik en de "één keer per klant"-controle van promoties bewaren alleen een gesleutelde hash (HMAC-SHA256) van het e-mailadres, telefoonnummer of IP-adres. De sleutel staat buiten de databank (afgeleid uit de hoofdsleutel), zodat wie alleen de databank of een kopie ervan heeft, de waarden niet kan terugrekenen of vergelijken.
• Tweestapsverificatie (TOTP) verplicht voor platformbeheerders en resellers en beschikbaar voor elke gebruiker van het beheer, met eenmalige herstelcodes.
• Geheimen (Mollie-sleutels, het wachtwoord van de mailserver, 2FA-sleutels, de boekhoudkoppeling) zijn versleuteld met libsodium (secretbox) en een hoofdsleutel die buiten de webroot en buiten de databank staat.
• Scheiding tussen zaken (multi-tenant): elke rij draagt het zaak-id en elke opvraging is daarop afgebakend; geautomatiseerde tests controleren dat een zaak nooit gegevens van een andere zaak ziet.
• Rollen en minimale toegang: beheerder (alles van de eigen zaak); medewerker: werkt in de dagelijkse schermen — bestellingen (met de klantgegevens die nodig zijn om te bereiden, te leveren of af te rekenen), reserveringen en wachtlijst, meldingen, uitverkocht zetten, pauzes, tafels, evenementen, foto's, spaarprogramma en beoordelingen — en ziet de rapporten op het scherm en de product-CSV (per gerecht het aantal en de omzet, zonder persoonsgegevens); hij ziet niet de klantenlijst en klantfiches, krijgt geen enkele andere export (klanten, bestellingen, terugbetalingen, btw-rapport, reserveringen, beoordelingen, spaarprogramma, menu, export per klant), wijzigt de menustructuur, bezorgzones, promoties en printers niet en ziet de instellingen, het team, de import en de audittrail niet (via de API alleen een alleen-lezen weergave van openingsuren en bestelinstellingen); reseller (alleen eigen zaken); platformbeheer. Supporttoegang tot een zaak wordt gelogd.
• Misbruikpreventie: vergrendeling na mislukte aanmeldpogingen per account en limieten per IP-adres, honeypot en limieten op de publieke formulieren, blokkeerlijst per zaak. Bekende netwerken (tabel known_networks): per gebruiker alleen een gesleutelde hash van het netwerk (IPv4-adres of IPv6 /64) waarvandaan al eens volledig aangemeld werd, zodat de tablet en het beheer van de zaak blijven werken terwijl een aanval op het account wordt afgeremd; verwijderd 180 dagen na het laatste gebruik, meteen bij een wachtwoordwijziging of -reset en bij het einde van de zaak.
• Logging: beveiligingsgebeurtenissen (12 maanden) en een audittrail van beheeracties — wijzigingen, wissingen en elke export (gebruiker, endpoint, periode en aantal rijen) — (24 maanden).
• Dagelijkse back-ups door de hostingpartner (zie bijlage C), binnen dezelfde hostingomgeving in de EER; de back-ups volgen de bewaarcyclus van de hostingpartner.
• Gegevensminimalisatie bij derden: de adresdiensten krijgen alleen het adres; pushmeldingen naar de tablets bevatten geen klantgegevens (alleen bestelnummer, soort bestelling, bedrag of status); Mollie krijgt alleen het bedrag, een omschrijving (bestelnummer en zaak, of agenda en tijdstip van de reservering) en technische verwijzingen (interne nummers, terugkeer- en webhookadres) — geen naam, e-mail of adres van de klant. Akkoorden met de voorwaarden worden met een ingekort IP-adres (/24 of /48) vastgelegd; contactgegevens worden in de browser van de klant alleen onthouden als die dat zelf aanvinkt.

Bewaartermijnen (automatisch uitgevoerd door het platform, minstens dagelijks)

Bijlage C — Subverwerkers

Geen subverwerker (eigen overeenkomst van de zaak):

De actuele lijst staat altijd op /subverwerkers.